Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

PEARライブラリ「Archive_Tar」に脆弱性 - 「Drupal」などにも影響

PEARライブラリ「Archive_Tar」に脆弱性が判明した。同ライブラリを採用する「コンテンツマネジメントシステム(CMS)」なども影響を受けている。

同ライブラリは、PHPにおいてアーカイブファイル「tar」の処理機能を提供するパッケージ。シンボリックリンクの処理にパストラバーサルの脆弱性「CVE-2021-32610」が明らかとなり、修正版となる「同1.4.14」を7月20日にリリースした。

これを受けて、同ライブラリを実装する「CMS」においてもアップデートがリリースされている。「Drupal」では、コアにおいてシンボリックリンクを許可しておらず、影響は限定的としつつもカスタムコードなどで利用した場合に影響があるとして「同9.2.2」「同9.1.11」「同8.9.17」「同7.82」をリリースした。重要度は、5段階中、上から2番目にあたる「クリティカル(Critical)」。

また「Drupal」から派生した「Backdrop」においても、脆弱性に対応した「同1.19.2」「同1.18.6」をリリースしている。

(Security NEXT - 2021/07/27 ) このエントリーをはてなブックマークに追加

PR

関連記事

ADパスワード管理ツールの脆弱性、APT攻撃で悪用 - 米当局が注意喚起
Apple、「iOS 15」「iPadOS 15」をリリース - 脆弱性22件を修正
Windowsのゼロデイ脆弱性、開発会社狙う攻撃で発見 - 検体公開後は試行増加
EC-CUBE用プラグイン「注文ステータス一括変更プラグイン」に脆弱性 - 利用中止を
CMSの「Drupal」に5件の脆弱性 - アップデートがリリース
「Apache Tomcat」にDoS攻撃受けるおそれ - 3月の更新で修正済み
SAP、複数の深刻な脆弱性を修正するアップデート - CVSS値が最高値の脆弱性も
「Citrix ShareFile」にアクセス制御不備の脆弱性 - 早急に更新を
Adobe、「ColdFusion」「AEM」など16製品にセキュリティ更新
Google、「Chrome 93.0.4577.82」を公開 - ゼロデイ脆弱性2件などを解消